Cómo Proteger al Centro en el uso de las TIC - … · Uso de estándares y protocolos corporativos...
40
Cómo Proteger al Centro en el uso de las TIC Fecha: 21 de Noviembre 2012 Integra Información y Comunicación, S.L. – C/ Hacienda de Pavones 3. 28030 Madrid Tel. 91 745 4270 – Web: www.planalfa.es – e-mail: [email protected]
Transcript of Cómo Proteger al Centro en el uso de las TIC - … · Uso de estándares y protocolos corporativos...
Cómo Proteger al Centro en el uso de las TIC
Fecha: 21 de Noviembre 2012
Integra Información y Comunicación, S.L. – C/ Hacienda de Pavones 3. 28030 Madrid Tel. 91 745 4270 – Web: www.planalfa.es – e-mail: [email protected]
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Para qué necesita el Centro implantar un Modelo de Seguridad y de
Gobierno?
¿Cómo protege al Centro la implantación del Modelo de Seguridad?
¿En Qué consisten las Soluciones de Seguridad Fundamentales?
Soluciones Básicas: RIS y Equipamiento de Control de Red
Soluciones Avanzadas: Serv. de Monitorización, Auditoria y Certificación
¿Cómo se puede gestionar la información y tomar decisiones?
Agenda
2
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
3
Riesgos TI de la Organización
•Disponibilidad •Continuidad del Negocio•Plan de Contingencia
•Protección de Información• Intercambio de Conocimiento•Prevención de Ataques
•Fiabilidad de Datos•Fiabilidad de Plazos de entrega•Cumplimiento de Normativas
•Actitud al Cambio Estratégico•Capacidad de detectar necesidad•Capacidad de implantar Cambios
Continuidad y Contingencia
Gestión de Acceso a la Información
Integridad de laInformación
Cambio Estratégico
Factores de Riesgo en las TI
• Gestión de Configuraciones• Grado de Estandarización• Obsolescencia Tecnológica
• Complejidad de laArquitectura
• Redundancia• Consistencia de Datos• Grado de Customización
• Índice de Rotación• Plan de Formación• Contratación• Relación: IT y Negocio
Infraestructura &Base Tecnológica
Aplicaciones &Información
RRHH & Base de Conocimiento
Proveedores & Partners
Politicas & Procesos
Organizativo &Financiero
• SLA s• Uso de estándares yprotocolos corporativos• Grado de Dependencia • Tolerancia al riesgo de
nuestro cliente
Riesgos ExternosCambio de Normativa Geopolítico Ataques Web/Virus Delitos y Fraude
• Esquema de Controles• Nivel de Estandarización • Responsabilidad
(Accountability)
• Políticas de Ahorrode Coste
• Complejidad de la Organización
• Procesos de Financiación
P: ¿Para qué necesita el Centro implantar un Modelo de Seguridad y de Gobierno?
(Fuente Westerman. MIT Sloan CISR, 2005)
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
R: Para Lograr una Integración TIC de Calidad en el ámbito Educativo Modelo de IT Governance & IT Security de Integra/IAITG para la Educación
4
IT GOVERNANCE Auto
superación
Reconocimiento
SOCIALES
SEGURIDAD
FISIOLÓGICAS
NORMAS ISO, UNE, ...
Leyes, LOPD, LSSI,...
SEGURIDAD INFORMÁTICA
INFORMATIZACIÓN
Plan
Técnico-Jurídico
para Lograr
Implantar las TIC
con Seguridad
Integración de
Procesos y Normas
eGovit - Cuadro
De Mando
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
5
P: ¿Cómo puede ayudar Integra? Esquema del Modelo de IT-Security para la Educación de Integra
El Modelo IT-Security para la Educación de Integra tiene las siguientes características:
• Es incremental “de abajo para arriba”
• La base es el cumplimiento de las normativas vigentes que afectan al entorno educativo
• La creciente implantación aumenta la seguridad y la calidad
• Culmina con una fase de Certificación que así lo verifica
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
R: Implantando Soluciones de Seguridad: Básicas y Avanzadas Mayor Calidad con más TIC siempre que existan medidas de seguridad
RIS LOPD / LSSI
FORMACIÓN EQUIPAMIENTO
1.
So
lucio
nes T
écn
ico
-Ju
ríd
ico
2.
So
lucio
nes A
van
zad
as
6
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
1. Solución Básica: Seguridad Técnico-Jurídica Sistema de Seguridad Integral para el Centro Docente
Objetivo
Implantar un Sistema Integral que
garantice la Seguridad Jurídica y
Tecnológica tal que:
• Asegure la protección al Centro Educativo y
a la Congregación de todo tipo de acciones legales y multas por incumplimientos técnicos y/o jurídicos
• Proteja a los usuarios, en particular al menor, de riesgos en Internet
• Forme al personal del centro sobre la correcta gestión de la información
• Proyecte la buena imagen del Centro
7
RIS LOPD / LSSI
FORMACIÓN EQUIPAMIENTO
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
8
2. Servicios de Seguridad Avanzada Monitorización, Auditoría y Certificación: Formar y Proteger a todos los usuarios
Productos Fundamentales de Seguridad para la Educación
Confidencial y Propietario – Integra Información y Comunicación, S.L.
2
Optimi-zación y Control
de la Red
4
eGovit Cuadro
de Mando
1
RIS
3
Protección para el usuario
Final
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
10
1
RIS El Reglamento Interno de Seguridad
Solución Integral de Seguridad y Gobierno del Centro (1)
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
11
1
RIS
1
El objetivo del RIS es dotar al centro de herramientas jurídicas y formación para lograr el correcto tratamiento de la información de acuerdo con la normativa vigente. Su implantación junto con una auditoría y un servicio de acompañamiento permite garantizar la seguridad.
1
+ info
Solución Integral de Seguridad y Gobierno del Centro (1)
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Cuadro Resumen: ¿En Qué Consiste la Implantación del RIS?
Auditoría • Tratamiento actual • Observaciones del auditor • Fundamentos de derecho • Medidas correctoras
Elaboración del RIS • Recopilación y compendio de protocolos de actuación
• Fichas ALFA • Contratos • Consentimientos • Impresos de ejercicios de derecho • Protocolos de Video-vigilancia • Decálogos (AMPA, Sanitarios, Acciones de la
Policía, Denuncias y requerimientos Juzgados…
Implantación del RIS • Implantación de medidas correctoras y de protocolos
Defensa Legal • Hasta agotar la vía administrativa, Seguro de Responsabilidad Civil complementario
12
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Cómo ayuda a proteger al Centro? Entendiéndolo con unos ejemplos
¿Qué pasa con las fotos tomadas en el centro
escolar?
¿Qué sucede si un alumno comete un delito
mientras está en el centro utilizando los medios
que el centro pone a disposición de la comunidad
educativa?
¿Qué hacer en caso de un alumno que pierde el
conocimiento en el patio?, o si ¿el centro debe o no
suministrar un tratamiento o medicamento a un
alumno si no hay medico ni enfermera?
¿qué hacer cuando los padres no recogen a un
menor tras finalizar las clases?
¿Puede un profesor quitar el móvil a un alumno?
13
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Es un cuerpo normativo aprobado por la titularidad y la dirección del colegio, a semejanza del RRI, pero con garantías jurídicas y procedimientos ajustados a ley.
En el RRI solo se habla de sanciones y de el ordenamiento del comportamiento conflictivo de las personas que conforman la Comunidad Educativa.
En el documento se establecen los procedimientos y protocolos, a seguir por el personal implicado en las tareas ordinarias de un centro docente. Su objetivo es blindar a los centros de cualquier posible amenaza jurídica
Consiste en Protocolos sanitarios, rupturas de convivencia, informes de tutoría, recogida de menores, salidas del centro, la seguridad y las garantías de responsabilidad del centro en el uso de las TIC, etc.
Reglamento Interno de Seguridad RIS
14
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
15
2
Optimi-
zación y
Control
de la Red
Solución Integral de Seguridad y Gobierno del Centro (2)
Filtra contenidos
Balancea enlaces
Control de la Red
Permite optimizar y monitorizar de Red
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
16
2
Optimi-
zación y
Control
de la Red
2
Control, supervisión y monitorización de la red informática del Centro. Instalación de aplicación tecnológica para el control y vigilancia de los Recursos IT del centro, optimización del rendimiento y efectividad. Elaboración de informe de incidencias de su red y soluciones.
2
+ info
Solución Integral de Seguridad y Gobierno del Centro (2)
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Qué busca la auditoría?
¿La conectividad en el centro está optimizada?
¿El consumo de ancho de banda está acorde con el uso?
¿Los tiempos de respuesta de la red son adecuados?
¿Hay cortes en las comunicaciones?
¿Todos los usuarios tienen los mismos privilegios en la red?
¿Tengo problemas de seguridad o virus?
¿Cómo aseguro que los usuarios no autorizados accedan a recursos compartidos?
17
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Qué está pasando en mi red?
18
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Quién es el que más consume?
1 usuario consume el 99% de los recursos de la red
19
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿En qué está consumiéndose el ancho de banda?
El 75% del tráfico es debido a la descarga de ficheros
20
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿En qué cuál es el destino de ese tráfico?
El 75% del tráfico es debido a la descarga de ficheros
21
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Aplicando reglas de uso
Control de contenidos por categorías
Control de aplicaciones: • skype,
• spotify,
• p2p,
• redes sociales
Control de horarios y tasas de transferencia: por equipo, por usuario
Detección de virus, troyanos y Spyware
Neutralización de ataques externos
22
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Aplicando Filtros de horas y de consumo
23
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Bloqueando aplicaciones
24
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Activando el SafeSearch
2
5
25
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Ataques externos neutralizados
2
6
26
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Resultado de la auditoría I
Enlaces no balanceados
Consumo del ancho de banda excesivamente alto
Procesos de actualización de software penalizando el uso de la red
Alto consumo de HTTP, Flash Video y ShockWave Flash
Uso de aplicaciones como ARES, Emule, Bittorrent, Spotify, radio a través de Internet…
Desconocimiento del uso de la red
El 10% usuarios consumen el 90% de la red
27
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Resultado de la auditoría II
Acceso a contenido peligroso o inadecuado (Juegos online)
Detección de ataques desde la red
Envío o recepción de correos o descargas de archivos con virus
Listas Negras (Envío masivo de correo electrónico)
28
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Por qué es necesario controlar la Red?
Riesgos por el uso de las tecnologías
Actividades de la escuela cada vez más basadas en Internet.
El aula es digital y con acceso a internet. Vamos a tener que controlar ese acceso para que sea eficiente.
29
Hay que proteger al centro de las amenazas de fuera y de dentro
Necesitamos saber qué está pasando en la red para poder corregirla
Proporcionar una solución de seguridad que “aterrice” las recomendaciones del RIS y de la LOPD
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Cómo lo hace?
Secretaría Administrador
Dirección
Padres /
Usuarios
Remotos
Profesor
Red Inalámbrica
Segura
Firewall/UTM
Estableciendo políticas de seguridad a nivel de red, equipo o usuario
Filtrando la información que pasa por el equipo a nivel de protocolo, puerto o aplicación
Cerrando puertos externos para evitar el acceso no autorizado desde fuera
Estableciendo privilegios de usuario para el uso de recursos escasos o protegidos
Creando canales de comunicaciones entre las distintas redes o creando redes virtuales para simular una dentro de un canal
Alumno / Invitado
30
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Cuadro Resumen
Situación Actual - Necesidades • Bajo control de la red por parte del centro • Uso indiscriminado de los recursos de red • Aumento en los costes de enlaces de comunicaciones • No son conscientes de los riesgos jurídicos
Instalación • Rápida, normalmente en 1 día • Se coloca justo después de los enlaces de
comunicaciones • Totalmente transparente al sistema operativo, uso y
configuración de la red
Modalidades • Adquisición del producto • Pago por uso
Beneficios - Ventajas • Reducción de tráfico: • Filtrado de contenidos • Límite por aplicación, protocolo o puerto
(Spotify, YouTube, FTP,…) • Conocimiento de uso de la red por horas, por
equipo, por usuario, por aplicación… • Elimina SPAM y antivirus
• Trafico limpio y eliminación de ataques internos y externos
• Inspección de paquetes (contenido ofensivo o insultos)
• Reducción de costes y riesgos jurídicos
31
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
32
Solución Integral de Seguridad y Gobierno del Centro (3)
Aplicación Wave System S.O.S • Informa al usuario final sobre actos
delictivos e ilícitos en Internet
• Forma en la detección de delitos y tipologías
• Permite realizar denuncias y defenderse de un delito en Internet…
3
Protección para el
usuario Final
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
33
Solución Integral de Seguridad y Gobierno del Centro (3)
3
Protección para el
usuario Final
3 3
+ info
Permite denunciar cualquier acto delictivo e ilícito en Internet, desde tu móvil o navegador, desde cualquier parte del mundo. Aporta las pruebas visuales y técnicas que necesitas para realizar tu denuncia y defenderse de un delito en Internet…
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Soluciones Avanzadas de Seguridad
Proteger al centro y a todos los usuarios (Productos 1, 2 y 3)
Implantar Servicios de Monitorización: para garantizar el correcto y optimizado uso de la red y de los procesos definidos en el RIS, entre auditorías, es necesario dedicar recursos técnicos especializados para monitorizar la actividad en la red del centro
Auditoría de Seguridad: Periódica y sobre demanda. Disponer de información actualizada del estado de procesos, riesgos y red, bajo demanda o de manera periódica, para garantizar la seguridad y la continua optimización de los recursos y los procesos técnico-jurídicos del centro.
Certificación de la correcta implantación de Seguridad
Dar al responsable datos clave para la toma de decisiones (siguiente)
34
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
¿Cómo se puede gestionar la información y tomar decisiones? Modelo de IT Governance & IT Security de Integra/IAITG para la Educación
35
IT GOVERNANCE Auto
superación
Reconocimiento
SOCIALES
SEGURIDAD
FISIOLÓGICAS
NORMAS ISO, UNE, ...
Leyes, LOPD, LSSI,...
SEGURIDAD INFORMÁTICA
INFORMATIZACIÓN
Plan
Técnico-Jurídico
para Lograr
Implantar las TIC
con Seguridad
Integración de
Procesos y Normas
eGovit - Cuadro
De Mando
Productos Fundamentales de Seguridad para la Educación
Confidencial y Propietario – Integra Información y Comunicación, S.L.
2
Optimi-zación y Control
de la Red
4
eGovit Cuadro
de Mando
1
RIS
3
Protección para el usuario
Final
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
4
eGovit Cuadro
de Mando
37
Solución Integral de Seguridad y Gobierno del Centro (4)
Aplicación de IT Governance en Cloud: • Gestión de Riesgos
• Consecución de Objetivos
• Estatus dentro de marco de referencia dado
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
4
eGovit Cuadro
de Mando
38
4
+ info
4
La complejidad tecnológica de procesos de control y monitorización debe estar al servicio del centro para proporcionar informes, en lenguaje claro e inteligible, a la Alta Dirección. La aplicación eGovit integra datos de seguridad y gobierno del Centro.
Solución Integral de Seguridad y Gobierno del Centro (4)
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
39
La Aplicación Cuadro de Mando de eGovit
Actualización continua del RIS: Datos, riesgos y documentación
Co
nfid
encia
l y P
rop
ietario
– In
tegra
Info
rma
ción
y C
om
un
icació
n, S
.L.
Más información: www.eGovit.es
40
